Google ha avviato un’ampia distribuzione di una nuova funzionalità di sicurezza in Chrome che collega le sessioni di accesso all’hardware del dispositivo, un cambiamento importante per chiunque detenga wallet crypto.
Punti chiave:
- Google ha rilasciato le Device Bound Session Credentials, che bloccano i cookie di sessione del browser al chip di sicurezza del computer.
- La protezione blocca un attacco comune che permette ai ladri di aggirare l’autenticazione a due fattori (2FA) rubando i cookie.
- Gli utenti crypto affrontano un rischio maggiore, poiché i malware infostealer prendono di mira regolarmente wallet e sessioni sugli exchange.
Come Chrome ora protegge i cookie di accesso
I report di questa settimana hanno dettagliato l’ampia distribuzione delle Device Bound Session Credentials, note come DBSC, dopo mesi di test sui browser Chromium.
Lo strumento ora raggiunge la maggior parte degli utenti, dagli account Workspace ed Enterprise a quelli personali. Collega ogni login a una chiave crittografica che non lascia mai il dispositivo.
Un cookie di sessione funziona come un braccialetto in un evento a biglietto, permettendo a un sito di ricordare un accesso senza chiedere una password o un codice a due fattori a ogni visita.
I ladri apprezzano questi file perché un cookie rubato può aggirare completamente quel secondo livello, e i token vengono spesso venduti sui mercati del dark web. DBSC archivia la chiave all’interno di un Trusted Platform Module di Windows o di una Secure Enclave di Mac, quindi obbliga il browser a dimostrare il possesso prima di aggiornare qualsiasi cookie.
Il risultato è un cookie che diventa inutile su un’altra macchina.
Leggi anche: Kalshi Wins CFTC Approval For First U.S. Bitcoin Perpetual Futures
Perché i trader crypto dovrebbero interessarsi
Per gli utenti crypto, una sessione dirottata può significare fondi prosciugati invece di una casella di posta violata. I malware per il furto di informazioni ora raccolgono in un’unica passata cookie del browser, password salvate e file dei wallet, prima di inviarli a un server remoto.
Un’analisi ha rilevato che il furto di credenziali è stato coinvolto in circa un terzo delle intrusioni tracciate l’anno scorso, segno di quanto questa tattica sia diventata abituale.
Anche il commercio è diventato industriale, con i ricercatori che hanno segnalato uno stealer in abbonamento chiamato Storm, che costa meno di 1.000 dollari al mese e prende di mira i wallet tramite estensioni del browser e app desktop.
Altri ceppi monitorano le sessioni collegate a Binance, Coinbase, MetaMask e Trust Wallet, quindi sottraggono il cookie per entrare in un account senza password.
Il lungo percorso di DBSC fino agli utenti
Google ha presentato per la prima volta DBSC nel 2024, per poi passare attraverso una beta pubblica e arrivare al rilascio generale su Chrome 146 e successivi per Windows, con la versione 148 e successive che coprono Mac.
L’azienda lo ha attivato per impostazione predefinita per gli account Workspace, dove gli amministratori non possono disattivarlo. Per i trader che tengono aperte tutto il giorno le schede degli exchange e le estensioni dei wallet, l’aggiornamento chiude in silenzio una delle vie più semplici verso il loro denaro.
Leggi dopo: Dogecoin Reserves Edge Up To 28B As Whale Support Stays Weak